CISA מוסיפה שני פגמי RCE של PHP2Shell לקטלוג KEV

CISA אישרה ניצול פעיל של שני פגמי PHP2Shell והוסיפה אותם לקטלוג Known Exploited Vulnerabilities שלה. הפגמים, שניהם בדירוג 9.2 בסולם CVSS, מאפשרים הרצת קוד מרחוק ללא אימות בהתקנות PHP פגיעות. Adel Karimi מ-Perplexity אישר הרצת קוד מרחוק מוצלחת נגד מערכות honeypot ב-24 באוקטובר 2026.

מה CISA אישרה

שני הפגמים הם CVE-2026-109618, פגם קורופציה עקב אזילת זיכרון, ו-CVE-2026-109619, פגם במצב בקשה פנימי מיושן. CISA הוסיפה את שניהם לקטלוג KEV לאחר ש-Karimi דיווח על הרצת קוד מרחוק מאושרת עם חשיפת זיכרון שמיש. Karimi אמר שהתגובה סיפקה דאמפ של קוקי מפוענח בגודל 800 KiB ושכתובת פונקציה שנגזרה מאותו דאמפ באמצעות ה-offsets של האקספלויט הציבורי מופיעה ב-payload ההרצה העוקב. הוא גם אמר שהראיות מדגימות את השרשרת בפרופיל mod_php עם worker יחיד שהיה נוח בכוונה, ושאין זו מדידה של מהימנות האקספלויט במספרי worker אחרים, במהדורות PHP אחרות או ביישומים אחרים.

תיקונים ומועדים

הבעיות טופלו בגרסאות PHP 8.5.12, 8.4.27, 8.3.36 ו-8.2.35, שפורסמו ב-21 באוקטובר 2026. לסוכנויות פדרליות יש עד 29 באוקטובר 2026 ליישם את התיקונים הנדרשים. לפי הערכות ששיתפה Censys, יותר מ-32.51 מיליון שירותי PHP עדיין מריצים גרסה פגיעה. PHP משמשת בכ-70% מכלל אתרי האינטרנט. חומרת הפגמים הובילה להתראות מארגוני תוכנה, אבטחה וממשל רבים, כולל ABB, Arista Networks, Belden, Broadcom, Canon, Citrix, Dell, Dormakaba, F5, Hikvision, HP, HPE, Hitachi Energy, HMS Networks, Huawei, IBM, Ivanti, Johnson Controls, Mitel, Moxa, NETGEAR, Okta, QNAP, Rockwell Automation, Ruckus Wireless, Salesforce, Schneider Electric, Siemens, SonicWall, Splunk, Synology, Veeam, Wibu-Systems ו-WordPress.

בעיית מהדורת Windows קשורה

נכון ל-26 באוקטובר 2026, PHP Foundation פרסמה גם מהדורות Windows 8.5.12-1, 8.4.27-1, 8.3.36-1 ו-8.2.35-1 כדי לטפל ב-CVE-2026-111497. הפגם הזה הוא פגם כתיבה מחוץ לגבולות בספריית המפענח Brotli שעלול גם לגרום להסלמת הרשאות ולהרצת קוד מרחוק ללא אימות. הפגיעות, הידועה גם בשמות Broccoli2Shell, HTTP2Shell ו-Node2Shell, משפיעה על גרסאות Brotli 1.0.3 עד 1.0.9, 1.1.0 ו-1.2.0. היא תוקנה בגרסאות 1.0.10, 1.1.1 ו-1.2.1, יחד עם פרויקטים אחרים שכוללים את ספריית C, כולל Node.js, Bun, Envoy Proxy, Istio, .NET ו-Python. “במהדורות PHP ל-Windows, ניתן להגיע למפענח הפגיע דרך הרחבת cURL כאשר פירוק אוטומטי של דחיסת תגובת HTTP מופעל”, אמרה PHP Foundation. “הוא מושבת כברירת מחדל ב-cURL, אך יישומים וספריות לקוח HTTP יכולים להפעיל אותו.”

סיקור קודם: VulnCheck מפתחת אקספלויט PHP2Shell שעוקף ASLR במערכות ייצור · PHP מסמנת סיכון RCE לא מתוקן בהגדרה צרה לאחר תיקוני חירום של PHP2Shell

מקורות: The Hacker News